O que a LGPD muda para escritórios contábeis?

Por que o escritório contábil está exposto

Quando a Lei Geral de Proteção de Dados (Lei 13.709/2018) entrou em vigor, muita gente no mundo contábil achou que era coisa de empresa grande, de banco, de plataforma digital. Estava errado. O escritório contábil e um dos atores que mais concentra dados pessoais e sensiveis no ecossistema empresarial brasileiro — e portanto, um dos mais expostos as obrigações e as penalidades da LGPD. Entender exatamente qual é o seu papel jurídico e o primeiro passo para não ser pego de surpresa.

Controlador vs. operador

Para começar, e preciso separar dois conceitos fundamentais:

• Controlador — quem decide sobre o tratamento dos dados: define por que coletar, quais dados coletar, como usar, quando descartar.
• Operador — quem realiza o tratamento de dados em nome do controlador, seguindo suas instruções.

Na prática contábil, o escritório pode ser as duas coisas ao mesmo tempo, dependendo da situação:

• Quando decide coletar dados dos próprios funcionarios e clientes diretos para gestão interna (folha do escritório, cadastro de clientes), ele age como controlador.
• Quando trata dados dos funcionarios e sócios do cliente para elaborar folha de pagamento, declarações de IR ou escrituração contábil, ele age como operador, e o cliente e o controlador.

Isso tem implicações práticas enormes. Como operador, o escritório deve agir sempre dentro das instruções do controlador (o cliente), não pode usar os dados para fins próprios, e deve demonstrar, mediante contrato, que tem medidas técnicas e organizacionais adequadas para proteger esses dados. A LGPD exige que o relacionamento entre controlador e operador seja formalizado por escrito — o chamado Data Processing Agreement (DPA) ou Contrato de Tratamento de Dados, que veremos em detalhe no módulo 3.

O que é dado pessoal na prática contábil

Qualquer informação que permita identificar, direta ou indiretamente, uma pessoa natural. No dia a dia do escritório, isso inclui:

• CPF, RG, data de nascimento, endereco residencial do sócio e dos funcionarios do cliente;
• número de PIS/PASEP, salario, cargo, admissao, demissao;
• dados bancarios para crédito de salario;
• informações de saúde constantes em atestados médicos e afastamentos previdenciarios;
• informações de imposto de renda (rendimentos, despesas dedutiveis, dependentes);
• ate mesmo o IP de acesso a sistemas.

O CNPJ em si não é dado pessoal — pessoa jurídica não é protegida pela LGPD — mas os dados dos sócios, administradores e representantes legais, sim.

Dados sensíveis

Ha ainda os dados sensiveis, que merecem proteção redobrada. A LGPD lista no art. 5, II: origem racial ou etnica, convição religiosa, opiniao politica, filiação a sindicato, dados referentes a saúde ou a vida sexual, dado genetico ou biometrico.

No escritório contábil, os dados de saúde aparecem constantemente: atestados médicos que fundamentam afastamentos, laudos para INSS, informações de plano de saúde. Esses dados exigem bases legais específicas para tratamento e medidas de segurança ainda mais rigorosas.

Penalidades da ANPD

As penalidades da ANPD (Autoridade Nacional de Proteção de Dados) não são brincadeira. A lei prevê:

• advertência;
• multa simples de ate 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhoes por infração;
• multa diaria (mesmo limite);
• publicização da infração;
• bloqueio dos dados pessoais tratados em desconformidade;
• eliminação compulsoria desses dados.

A ANPD começou a aplicar sanções em 2023 e ja tem precedentes em setores de saúde, financeiro e tecnologia. Escritórios contábeis que sofram vazamentos de dados de clientes — especialmente dados de IR ou de folha — estão claramente no radar.

Comparativo com o GDPR europeu

A LGPD e menos severa em termos de valores, mas o princípio e o mesmo: proteção de dados como direito fundamental, com obrigações concretas para quem trata dados e sanções para quem descumpre.

Precisa de DPO (Encarregado)?

Uma dúvida frequente: o escritório precisa ter um DPO (Data Protection Officer, ou Encarregado de Dados na terminologia da LGPD)?

A lei não dispensa nenhuma categoria de organização da designação do encarregado — o art. 41 diz que o controlador deve indicar o encarregado. A ANPD, pela Resolução CD/ANPD 2/2022, simplificou as obrigações para agentes de pequeno porte — micro e pequenas empresas podem se valer de regime simplificado — mas isso não significa que não precisam ter encarregado, apenas que o processo e mais flexivel.

Para escritórios de médio e grande porte, a designação formal de um encarregado (que pode ser interno ou externo, pessoa fisica ou jurídica) e obrigatoria. O encarregado e o canal de comunicação entre o escritório, os titulares de dados e a ANPD. Ele deve ter autonomia para desempenhar a função e não pode ser punido por exercer suas atribuições legais.

O que a LGPD NÃO proíbe

E importante dizer: a LGPD não proibe o tratamento de dados para cumprimento de obrigação legal ou regulatoria. Emitir nota fiscal com CPF do destinatario, processar folha de pagamento com dados pessoais dos funcionarios, transmitir eSocial com dados sensiveis de saúde — tudo isso tem base legal na própria LGPD (art. 7, II e art. 11, II, a).

A lei não paralisa a atividade contábil; ela exige que o tratamento seja feito com responsabilidade, transparência e segurança adequada. A diferença entre o que o escritório faz hoje e o que a LGPD exige não é de substancia — e de formalização, documentação e controle.